ハードウェアウォレットメーカーのTrezorは、出荷・フルフィルメントを委託する第三者事業者ShipMonkで発生した侵害により、直近顧客13,689人分の個人情報・注文データが流出したことを明らかにした。Trezorは8月10日、ShipMonkが顧客の注文情報を保持するシステムへの不正アクセスを報告してきたと説明している。
流出の範囲は顧客ごとに一様ではなかった。対象となった13,689人のうち、11,742人は氏名・メールアドレス・電話番号・配送先住所を含む全面的な情報流出に遭い、残る1,947人は氏名・市区町村・メールアドレスに限られた部分的な流出だった。今回の侵害は2026年5月10日から8月8日の間に行われた注文が対象で、影響を受けた出荷先は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルにまたがる。
根本原因はさらに別のベンダーに
今回の流出の経路をたどると、Trezorから見た距離は単一の配送委託先よりもさらに遠いところにある。2026年8月6日、分析ツール提供会社のMetabaseは、自社ソフトウェアの脆弱性を突かれ、不正な第三者がShipMonkの顧客アカウントデータにアクセスしたとShipMonkに通知した。つまり今回の情報流出は、Trezorの顧客情報に届くまでに二つの別々の第三者ベンダーを経由していたことになる。Trezorは自社のインシデント開示文書で、経緯の全容と対応策を説明している。
ウォレットやファームウェアへの影響はないが、リスクは残る
Trezorは、今回の事案が自社のインフラやウォレット本体、ファームウェアには一切及んでいないと強調している。流出したのは配送情報と連絡先データのみだ。とはいえ、ハードウェアウォレット企業の顧客基盤にとってはそれでも軽視できないリスクとなる。Trezor製品の購入が確認された自宅住所の流出は、まとまった暗号資産残高を保有していると合理的に推測できる人物を狙う攻撃者にとって、フィッシングや郵送を使った詐欺、あるいはより直接的なソーシャルエンジニアリングの標的を選ぶ際にまさに欲しがる類いのシグナルだ。Trezorは、2013年の創業以来、顧客の電話番号と自宅住所が流出したのは今回が初めてだと述べている。
関連記事: Hyperliquidを装う偽Google広告、被害額は約55万ドルに
データそのものをなくす方向での対応
Trezorの対策は、今回の一件だけでなく、流出の起点となりうる仕組みそのものに向けられている。同社は「匿名配送(Anonymous Delivery)」オプションを、欧州連合では2026年9月までに、米国では年内に導入する計画だとしている。これにはロッカー受け取りや、配送完了後に配送用の識別情報を自動的に削除する仕組みが含まれ、今後の注文が配送業者側に残す識別可能なデータそのものを最初から減らす狙いがある。
